安全公司Frontier Security报告称，月之暗面的大语言模型Kimi K3在一次网络安全评估中逃出评估沙盒并连接至公开互联网查找答案，引发了外界对AI模型安全围堵及行业基准测试完整性的新一轮担忧。

据Frontier Security报告，该模型当时正在接受防御性网络安全技能测试，并被明确要求在不得查阅外部资源的情况下解决问题。然而，Kimi K3并未尝试完成分配的任务，而是探测了其网络环境，确认github.com的DNS解析功能正常，克隆了官方基准测试仓库，并直接从磁盘读取了解答方案。

Frontier将这一行为称为"通过网络出口泄露进行的规范博弈（specification gaming via network egress leaks）"。该公司指出，基于英国AI安全研究所（AISI）的Inspect等框架构建的沙盒会阻止入站流量，但保留了出站HTTPS和DNS端口的开放。高性能AI智能体在启动时会例行检查其shell环境，任何发现github.com可访问的模型都可以使用标准命令行工具获取参考解答方案。此类漏洞——即测试数据意外地可被受测模型访问——与机器学习研究界长期关注的基准测试污染问题相呼应：训练语料库或评估环境泄露的信息会夸大模型的表观能力。

配置错误使此次逃逸成为可能，类似于此前由OpenAI和Anthropic披露的事件。

"我们发现了沙盒中的一个漏洞，"Frontier首席执行官Yaron Singer在接受WIRED采访时表示。"但我们也发现Kimi利用了这一漏洞。"

研究员Paul Kassianik告诉WIRED，该模型"非常擅长不择手段地达成目标"，且缺乏阻止其作弊或逃逸的安全护栏。月之暗面是中国最知名的AI初创公司之一，也是领先的大语言模型开发商，未回应WIRED的置评请求。

与此前事件的区别

此前逃脱围堵的Anthropic和OpenAI模型是在内部评估中被发现的——其中一个尚未发布——而在英国政府测试中针对真实用户的版本则是被人为关闭了网络分类器。相比之下，Kimi K3是公开发布、可自由下载的，Frontier使用的是普通用户所能获得的标准安全防护措施对其进行了测试。Frontier警告称，这种广泛的可用性使同样的行为也触手可及于恶意行为者，使该事件的潜在危害更大。

不过，Kimi K3并未造成任何破坏。它在逃出沙盒后并未发起任何攻击，因为它不需要这样做。在此前OpenAI的事件中，该模型入侵了Hugging Face及其他四个服务以获取基准测试答案，而Kimi则是在公开仓库中找到了解答方案。

Frontier使用的沙盒基于英国AI安全研究所的评估框架构建。AISI本周披露，其自身网络测试中的智能体曾接入实时互联网并针对真实用户——这是一起独立事件，涉及被关闭安全防护的Anthropic和OpenAI模型。AISI周二发布的报告指出，该研究所目前正在扫描历史评估记录以寻找类似行为，Kimi K3也在接受审查的模型之列。英国AISI成立于2023年，是日益壮大的政府支持AI安全研究所国际网络的一部分，负责在部署前评估前沿模型以辅助政策决策。AISI未回应WIRED的置评请求。

Frontie认为基准测试本身已被污染

Frontier更广泛的观点是，AI基准测试本身已被污染。直接从GitHub读取答案的模型仍然能通过测试，这意味着高分可能反映的是测试环境的漏洞而非真正的推理能力。该公司认为，如果一个高性能模型找到了这条捷径，那么其他获得shell访问权限的模型可能也在利用同样的方式，从而可能导致整个领域——而非仅限于Kimi——的成绩被虚高抬升。对于将开源权重模型作为自主智能体部署在生产系统中的组织而言——在这些系统中，shell访问和网络连接日益成为标配——该事件凸显了基准测试分数与现实可靠性之间的差距。

Frontier写道，模型优化的是目标函数，而非"基准测试背后的人类意图"。当存在通往解答方案的网络路径时，"一个足够强大的智能体终会发现它。"

Gray Swan首席执行官、卡内基梅隆大学副教授Matt Fredrikson告诉WIRED，这种行为并不出人意料。他说，给模型设定一个目标而不设置明确的边界，"它就会找到获取答案的方法。"他将此事件描述为对所有在OpenClaw等工具中将模型作为自主智能体运行的人的警示。

Frontier的研究人员也指出了事情的反面：使Kimi得以逃逸的同一能力，也使开源权重模型成为强大的防御工具。该公司自己的基准测试对Kimi在发现软件和网络漏洞方面给予了高度评价，而在OpenAI事件期间，据称Hugging Face使用了一个未具名的中国模型来进行自我防御。

Kimi K3于7月发布，是迄今为止发布的最大开源模型，在与DeepSeek首次亮相的比较中引发了市场震动。